Debian-Sicherheitsankündigung

DSA-1671-1 iceweasel -- Mehrere Verwundbarkeiten

Datum des Berichts:
24. Nov 2008
Betroffene Pakete:
iceweasel
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In Mitres CVE-Verzeichnis: CVE-2008-0017, CVE-2008-4582, CVE-2008-5012, CVE-2008-5013, CVE-2008-5014, CVE-2008-5017, CVE-2008-5018, CVE-2008-5021, CVE-2008-5022, CVE-2008-5023, CVE-2008-5024.
Weitere Informationen:

Mehrere entfernt ausnutzbare Verwundbarkeiten wurden im Web-Browser Iceweasel entdeckt, einer wegen Markenproblemen umbenannten Version des Firefox-Browsers. Das Common Vulnerabilities and Exposures-Projekt identifiziert die folgenden Probleme:

  • CVE-2008-0017

    Justin Schuh entdeckte, dass ein Pufferüberlauf im Parser http-index-formats zur Ausführung beliebigen Codes führen kann.

  • CVE-2008-4582

    Liu Die Yu entdeckte ein Informationsleck durch lokale URL-Verknüpfungsdateien.

  • CVE-2008-5012

    Georgi Guninski, Michal Zalewski und Chris Evan entdeckten, dass das Canvas-Element dazu verwendet werden kann, um Einschränkungen des selben Ursprungs (same-origin) zu umgehen.

  • CVE-2008-5013

    Es wurde entdeckt, dass eine unzureichende Überprüfung im glue code des Flash-Plugins zur Ausführung beliebigen Codes führen kann.

  • CVE-2008-5014

    Jesse Ruderman entdeckte, dass ein Programmierfehler im window.__proto__.__proto__-Objekt zur Ausführung beliebigen Codes führen kann.

  • CVE-2008-5017

    Es wurde entdeckt, dass Abstürze der Layout-Engine zur Ausführung beliebigen Codes führen können.

  • CVE-2008-5018

    Es wurde entdeckt, dass Abstürze der JavaScript-Engine zur Ausführung beliebigen Codes führen können.

  • CVE-2008-5021

    Es wurde entdeckt, dass ein Absturz des nsFrameManager zur Ausführung beliebigen Codes führen kann.

  • CVE-2008-5022

    moz_bug_r_a4 entdeckte, dass die Überprüfung des selben Ursprungs (same-origin) in nsXMLHttpRequest::NotifyEventListeners() umgangen werden kann.

  • CVE-2008-5023

    Collin Jackson entdeckte, dass die -moz-binding-Eigenschaft die Sicherheitsüberprüfung auf Codebasis umgeht.

  • CVE-2008-5024

    Chris Evans entdeckte, dass Anführungszeichen im Standard-Namensraum von E4X-Dokumenten ungenau maskiert werden.

Für die Stable-Distribution (Etch) wurden diese Probleme in Version 2.0.0.18-0etch1 behoben.

Für die kommende Stable-Distribution (Lenny) und die Unstable-Distribution (Sid) wurden diese Probleme in Version 3.0.4-1 von Iceweasel und Version 1.9.0.4-1 von xulrunner behoben. Pakete für die Arm- und Mips-Architekturen werden bald zur Verfügung gestellt.

Wir empfehlen Ihnen, Ihr Iceweasel-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 4.0 (etch)

Quellcode:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1.diff.gz
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18.orig.tar.gz
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1.dsc
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/i/iceweasel/mozilla-firefox-gnome-support_2.0.0.18-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/iceweasel/firefox-dom-inspector_2.0.0.18-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/iceweasel/firefox-gnome-support_2.0.0.18-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/iceweasel/firefox_2.0.0.18-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/iceweasel/mozilla-firefox_2.0.0.18-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dom-inspector_2.0.0.18-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/iceweasel/mozilla-firefox-dom-inspector_2.0.0.18-0etch1_all.deb
Alpha:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_amd64.deb
HP Precision:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_hppa.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_ia64.deb
Little-endian MIPS:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_s390.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_s390.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-dbg_2.0.0.18-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel-gnome-support_2.0.0.18-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/iceweasel/iceweasel_2.0.0.18-0etch1_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.